セキュアブート DBX 用のセキュリティ更新プログラム: 2021 年 1 月 12 日

適用対象

このセキュリティ更新プログラムは、以下の Windows バージョンにのみ適用されます。

Windows Server 2012 x64 ビット
Windows Server 2012 R2 x64 ビット
Windows 8.1 x64 ビット
Windows Server 2016 x64 ビット
Windows Server 2019 x64 ビット
Windows 10 Version 1607 x64 ビット
Windows 10 Version 1803 x64 ビット
Windows 10 Version 1809 x64 ビット
Windows 10 Version 1909 x64 ビット

概要

このセキュリティ更新プログラムは、「適用対象」セクションに記載されているサポートされている Windows バージョンのセキュアブート DBX を改善します。主要な変更点としては、次のようなものがあります。

Unified Extensible Firmware Interface (UEFI) ベースのファームウェアを搭載した Windows デバイスは、セキュアブートを有効にして実行できます。 Secure Boot Forbidden Signature Database (DBX) により、UEFI モジュールの読み込みができなくなります。この更新プログラムにより、モジュールが DBX に追加されます。

セキュアブートにはセキュリティ機能のバイパスの脆弱性が存在します。脆弱性の悪用に成功した攻撃者は、セキュアブートをバイパスし、信頼できないソフトウェアを読み込む可能性があります。

このセキュリティ更新プログラムは、既知の脆弱性のある UEFI モジュールの署名を DBX に追加することにより、この脆弱性に対処します。

このセキュリティの脆弱性の詳細については、「CVE-2020-0689 | Microsoft セキュアブートセキュリティ機能のバイパスの脆弱性」を参照してください。

既知の問題

問題

回避策

一部の相手先ブランド供給 (OEM) ファームウェアでは、この更新プログラムのインストールが許可されていない場合があります。

この問題を解決するには、ファームウェア OEM にお問い合わせください。

BitLocker グループポリシー [ネイティブの UEFI ファームウェア構成の TPM プラットフォーム検証プロファイルを構成する] が有効で、ポリシーによって PCR7 が選択されている場合、PCR7 バインドが不可能な一部のデバイスで BitLocker 回復キーが必要になる場合があります。

PCR7 バインド状態を表示するには、管理者権限で Microsoft システム情報 (Msinfo32.exe) ツールを実行します。

重要: 既定のプラットフォーム検証プロファイルから変更すると、デバイスのセキュリティと管理性に影響します。プラットフォームの (悪意のあるまたは許可された) 変更に対する BitLocker の感度は、PCR の包含または除外 (それぞれ) に応じて増加または減少します。具体的には、PCR7 を省略してこのポリシーを設定すると、[セキュアブートによる整合性の検証を許可する] グループポリシーが上書きされます。これにより、BitLocker がプラットフォームまたはブート構成データ (BCD) の整合性検証にセキュアブートを使用できなくなります。このポリシーを設定すると、ファームウェアの更新時に BitLocker が回復する場合があります。このポリシーに PCR0 を含めるように設定した場合は、ファームウェアの更新プログラムを適用する前に BitLocker を一時停止する必要があります。

このポリシーを構成するのではなく、各デバイスで使用可能なハードウェアに基づいて、セキュリティと使いやすさの最適な組み合わせに対して、Windows が PCR プロファイルを選択できるようにすることをお勧めします。

この問題を回避するには、この更新プログラムを展開する前に、Credential Guard の構成に基づいて次のいずれかを実行します。

Credential Guard が有効になっていないデバイスで、管理者コマンドプロンプトから次のコマンドを実行して、BitLocker を 1 回の再起動サイクルで一時停止します。
Manage-bde –Protectors –Disable C: -RebootCount 1

次に、デバイスを再起動して BitLocker 保護を再開します。

注: BitLocker の回復を行うため、デバイスを追加で再起動せずに BitLocker 保護を有効にしないでください。
Credential Guard が有効になっているデバイスでは、更新中に BitLocker の中断が必要な再起動が複数回発生する場合があります。管理者コマンドプロンプトから次のコマンドを実行して、BitLocker を 3 回の再起動サイクルで一時停止します。 Manage-bde –Protectors –Disable C: -RebootCount 3

この更新プログラムにより、システムが 2 回再起動する予定です。デバイスをもう一度再起動して、BitLocker 保護を再開します。

注: BitLocker の回復を行うため、追加で再起動せずに BitLocker 保護を有効にしないでください。

この更新プログラムの入手方法

方法 1: Windows Update

この更新プログラムは、Windows Update を介して利用可能です。ダウンロードとインストールは自動的に行われます。 

方法 2: Microsoft Update カタログ

この更新プログラムのスタンドアロンパッケージを入手するには、 Microsoft Update カタログ Web サイトにアクセスします。

方法 3: Windows Server Update Services

この更新プログラムは、Windows Server Update Services (WSUS) を介して入手することもできます。

必要条件

最新のサービススタック更新プログラム (SSU) がインストールされていることを確認します。ご使用のオペレーティングシステムの最新の SSU については、「ADV990001 | Latest Servicing Stack Updates」(英語情報) を参照してください。

再起動に関する情報

この更新プログラムを適用するときに、デバイスを再起動する必要はありません。 Windows Defender Credential Guard (仮想セキュアモード) を有効にしている場合、デバイスは 2 回再起動されます。

更新プログラムの置き換えに関する情報

この更新プログラムを適用しても、これまでにリリースされた更新プログラムが置き換えられることはありません。